* Résumé des évènements majeurs :
– Vulnérabilités :
Quelques jours après la publication de plusieurs codes d’exploitation, Microsoft vient seulement de publier son bulletin KB2488013 relatif à la faille de sécurité présente au sein d’Internet Explorer lié aux imports de style CSS (0-day). L’éditeur confirme la gravité de cette faille. De plus, un chercheur a publié un article présentant comment exploiter la faille 0day au travers d’un navigateur alternatif. Lorsqu’Interne Explorer est défini comme navigateur par défaut, la simple ouverture d’un fichier PDF avec Adobe Reader depuis un autre navigateur permettait de forcer l’ouverture d’Internet Explorer et par conséquent d’exploiter la vulnérabilité.
– Correctifs :
Oracle a publié l’Update 23 de Java 1.6. Aucune faille de sécurité n’a néanmoins été corrigée dans cette nouvelle version de la JVM.
Adobe a publié son bulletin de sécurité référencé APSB10-30 relatif à une vulnérabilité présente au sein de Photoshop CS5. Le CERT-XMCO recommande l’installation de ce correctif.
– Exploits :
Plusieurs exploits ciblant les produits Microsoft ont été publiés cette semaine.
Un code d’exploitation permettant de compromettre un système Windows en incitant un utilisateur à visiter une page internet malveillante a été publié. La vulnérabilité provient de l’ActiveX « Microsoft WMI Object Viewer » qui peut être utilisé afin de corrompre la mémoire du système.
Une autre preuve de concept permettant de provoquer un déni de service sur un serveur IIS 7.5 a été publiée. D’après Microsoft, cette faille n’impacte que le service FTP du serveur, qui n’est pas installé ni activé par défaut. La possibilité de prise de contrôle à distance n’a pas été démontrée pour le moment.
Un code d’exploitation permettant de prendre le contrôle d’un serveur ProFTPd a été publié. Celui-ci exploite une faille de sécurité présente au sein du module SQL. La faille avait été présentée dans la dernière édition de Phrack.
– Entreprises :
Google a introduit une nouvelle fonction de sécurité au sein de son moteur de recherche. Les sites détectés comme potentiellement malveillants ou compromis sont maintenant clairement indiqués comme tels.
Microsoft a annoncé qu’il portera la fonction de sécurité « Office File Validation » introduite au sein d’Office 2010 vers les anciennes versions 2003 et 2007 de la suite. Cette fonction permet de valider la structure binaire des fichiers avant de les ouvrir afin de limiter le risque d’exploitation.
– International :
La saga Wikileaks continue. En début de semaine, Bank Of America a annoncé suivre l’exemple de plusieurs autres sociétés américaines en bloquant les transferts d’argent à destination de Wikileaks. En fin de semaine, L’ONU s’est efforcée de rappeler à ces nombreux états membres que l’accès aux informations détenues par les gouvernements, et autres autorités publiques faisait partie intégrante des droits de l’Homme…
Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter :
http://twitter.com/certxmco
